Fontys lekte medische gegevens studenten, wijzigt Teams-instellingen
Fontys Hogeschool heeft gevoelige informatie van studenten gelekt, waaronder hun medische gegevens. Dat ontdekte Omroep Brabant. De onderwijsinstelling heeft naar aanleiding van het datalek besloten om de Teams-instellingen aan te passen. Volgens Omroep Brabant waren honderden bestanden op het netwerk van Fontys lange tijd eenvoudig in te zien.
"Het lek openbaarde zich als iemand zich via de website van Fontys, met vooral scholen in Brabant, aanmeldde voor een cursus van de hogeschool. Nog voordat er een contract was getekend of studiegeld was overgemaakt, ontving de geïnteresseerde een mail met daarin een speciaal Fontys-mailadres en logingegevens voor het intranet", aldus de omroep. Via de zoekfunctie kon vervolgens naar allerlei documenten worden gezocht, zowel actuele als jarenoude bestanden waren op deze manier te vinden.
De gelekte gegevens bestaan onder andere uit lijsten met pasfoto’s van studenten, thuisadressen, privé e-mailadressen en 06-nummers. Ook contactgegevens van docenten en interne e-mails tussen medewerkers van Fontys waren in te zien. Van enkele studenten werden gespreksverslagen met hun coach of mentor aangetroffen. Hierin stond soms zeer persoonlijke informatie over de student. Tevens werden mails met medische details gevonden, afkomstig van studenten die om extra tijd tijdens examens vroegen.
Fontys zegt dat het actie ondernemen heeft nadat vertrouwelijke informatie zichtbaar bleek in openbare Teams-kanalen. "Deze kanalen waren alleen toegankelijk voor mensen met een Fontys-account, zoals studenten en medewerkers, maar bevatten gegevens die niet voor iedereen binnen de organisatie bedoeld waren." De onderwijsinstelling laat verder weten dat het datalek niet had mogen gebeuren en biedt daarvoor excuses aan. Ook is een onderzoek naar de oorzaak aangekondigd.
Reacties (9)
17-04-2025, 18:41 door
Anoniem
Wat een schande, maar helaas niet verrassend. Een poos terug had ik contact met een andere Brabantse onderwijsinstelling, waar men uiteraard ook geheel gestandaardiseerd op Microsoft was. Medewerkers waren over 't algemeen heel vriendelijk, maar vaak verbazingwekkend onwetend en soms zelfs onverschillig over ICT zaken. Met name beveiliging en privacy waren ondergeschoven kindjes, zogezegd. Het gebrek aan deskundigheid en zorgvuldigheid liet medewerkers stelselmatig de AVG overtreden, met betrekking tot persoonsgegevens en interne aangelegenheden van zowel studenten als medewerkers. Natuurlijk heb ik de nodige raad en advies aangeboden, maar vermoedelijk zal het daar ook mislopen in de toekomst.
17-04-2025, 19:23 door
Anoniem
Volgens de hogeschool kon het lek ontstaan doordat medewerkers per ongeluk bepaalde documenten openbaar deelden via het interne netwerk. Alle openbare bestanden zijn omgezet naar privé, waardoor ze niet meer toegankelijk zijn voor anderen. Studenten die bang zijn dat hun informatie is gedeeld, kunnen zich melden bij Fontys.
https://nos.nl/artikel/2563941-datalek-bij-fontys-onder-meer-medische-gegevens-studenten-in-te-zien
https://nos.nl/artikel/2563941-datalek-bij-fontys-onder-meer-medische-gegevens-studenten-in-te-zien
17-04-2025, 20:33 door
Anoniem
het actie ondernemen heeft nadat
Keyword: NADAT. Kalf. Put.Fijn dat er actie genomen is. Wat hebben de slachtoffers daaraan????
17-04-2025, 22:24 door
Anoniem
Wat moet een hogeschool met medische gegevens?
Daar kunnen en mogen zij helegaar niet over beschikken.
Daar kunnen en mogen zij helegaar niet over beschikken.
18-04-2025, 09:46 door
Aap uit de mouw
Door Anoniem: Wat moet een hogeschool met medische gegevens?
Daar kunnen en mogen zij helegaar niet over beschikken.
In sommige gevallen kan of moet een school rekening houden met bepaalde medische aandoeningen van een student. Dat moeten ze dan wel weten en dus ergens opslaan.Daar kunnen en mogen zij helegaar niet over beschikken.
18-04-2025, 11:32 door
Anoniem
Door Aap uit de mouw:
Door Anoniem: Wat moet een hogeschool met medische gegevens?
Daar kunnen en mogen zij helegaar niet over beschikken.
In sommige gevallen kan of moet een school rekening houden met bepaalde medische aandoeningen van een student. Dat moeten ze dan wel weten en dus ergens opslaan.Daar kunnen en mogen zij helegaar niet over beschikken.
Nee hoor, de hogeschool moet slechts voorzien. Zij hebben helemaal nets van doen met de medische aandoeningen.
Voorbeeld: spierziekte scholier. Daarvoor zijn lage deuropeners vereist. Gewoon aanbrengen en niet opslaan dat student A een spierziekte heeft.
Simpel eigenlijk.
18-04-2025, 16:33 door
Anoniem
Door Anoniem:
Nee hoor, de hogeschool moet slechts voorzien. Zij hebben helemaal nets van doen met de medische aandoeningen.
Voorbeeld: spierziekte scholier. Daarvoor zijn lage deuropeners vereist. Gewoon aanbrengen en niet opslaan dat student A een spierziekte heeft.
Simpel eigenlijk.
Blijkbaar heb jij dus geen ervaring hierin? Dit is zo'n antwoord van iemand die ergens achter een buro het beleid bepaald, zonder enige kennis en ervaring in het onderwerp te hebben.Door Aap uit de mouw:
Door Anoniem: Wat moet een hogeschool met medische gegevens?
Daar kunnen en mogen zij helegaar niet over beschikken.
In sommige gevallen kan of moet een school rekening houden met bepaalde medische aandoeningen van een student. Dat moeten ze dan wel weten en dus ergens opslaan.Daar kunnen en mogen zij helegaar niet over beschikken.
Nee hoor, de hogeschool moet slechts voorzien. Zij hebben helemaal nets van doen met de medische aandoeningen.
Voorbeeld: spierziekte scholier. Daarvoor zijn lage deuropeners vereist. Gewoon aanbrengen en niet opslaan dat student A een spierziekte heeft.
Simpel eigenlijk.
Je noemt bijvoorbeeld iets wat belangrijk kan zijn voor de school om te weten. Want ziektes gaan veel verder en soms is het heel belangrijk om te weten.
Epilepsie bijvoorbeeld.
Allergische reacties (pinda allergie) en hoe ze moeten reageren daarbij. Autisme of bepaalde medicatie. Allemaal cruciale informatie dat vastgelegd moet worden.
Ook bij eventuele medische problemen en als hulpverlening noodzakelijk is, moet dit soort soms cruciale informatie door gegeven worden.
Wel veilig natuurlijk en niet bijvoorbeeld in een teams site.
19-04-2025, 14:41 door
Anoniem
Blijkbaar heb jij dus geen ervaring hierin?
Dit is zo'n antwoord van iemand die ergens achter een buro het beleid bepaald, zonder enige kennis en ervaring in het onderwerp te hebben.
Je noemt bijvoorbeeld iets wat belangrijk kan zijn voor de school om te weten. Want ziektes gaan veel verder en soms is het heel belangrijk om te weten.
Epilepsie bijvoorbeeld.
Allergische reacties (pinda allergie) en hoe ze moeten reageren daarbij. Autisme of bepaalde medicatie. Allemaal cruciale informatie dat vastgelegd moet worden.
De AVG staat verwerking van deze bijzondere persoonlijke gegevens slechts in uitzonderlijke gevallen toe. Het geven van onderwijs behoort daar absoluut niet toe.Ook bij eventuele medische problemen en als hulpverlening noodzakelijk is, moet dit soort soms cruciale informatie door gegeven worden.
Wederom fout. Onderwijsinstellingen spelen geen rol bij medische problemen en verlenen zeker geen medische hulp. Je bent in de war met zorginstellingen.Wel veilig natuurlijk en niet bijvoorbeeld in een teams site.
Veilig is in deze het niet verwerken, waaronder opslag, van medische gegevens conform de AVG.Het is niet zo moeilijk als je de AVG leest en enkele seconden nadenkt.
Door Anoniem:
Blijkbaar heb jij dus geen ervaring hierin?Dat is een veronderstelling die niet onderbouwd is. Die gooien we weg.
Maar je post laten wel iets ander zien, daarom trok ik deze conclusie.Blijkbaar heb jij dus geen ervaring hierin?
Dit is zo'n antwoord van iemand die ergens achter een buro het beleid bepaald, zonder enige kennis en ervaring in het onderwerp te hebben.
Je noemt bijvoorbeeld iets wat belangrijk kan zijn voor de school om te weten. Want ziektes gaan veel verder en soms is het heel belangrijk om te weten.
Epilepsie bijvoorbeeld.
Allergische reacties (pinda allergie) en hoe ze moeten reageren daarbij. Autisme of bepaalde medicatie. Allemaal cruciale informatie dat vastgelegd moet worden.
De AVG staat verwerking van deze bijzondere persoonlijke gegevens slechts in uitzonderlijke gevallen toe. Het geven van onderwijs behoort daar absoluut niet toe.Hoe weet een school precies hoe ze moeten reageren als iemand een Epilepsie aanval heeft?
Of ASS/autisme, dat is echt zeer specifiek per leerling hoe een school met reageren. Dat moet een school dus documenteren, in een leeringendosier.
Maar als we even wat bronnen er bijzoeken, om het iets beter te onderbouwen:
In beginsel geldt voor medische gegevens een verwerkingsverbod. Op grond van de UAVG is het verwerken van medische gegevens wel toegestaan als die gegevens nodig zijn om speciale voorzieningen te treffen in het kader van de gezondheid van de leerling.. In dit kader gelden de algemene regels, dat er niet meer mag worden verwerkt dan noodzakelijk is om het doel (de ondersteuning/ voorziening/ begeleiding) te bereiken.
https://www.avghelpdeskzorg.nl/onderwerpen/medische-gegevens-in-leerlingendossier
Hierin staat dus juist exact het punt dat ik aanhaal. https://www.avghelpdeskzorg.nl/onderwerpen/medische-gegevens-in-leerlingendossier
Mag een school of swv bijzondere persoonsgegevens (gezondheidsgegevens) verwerken?
Het samenwerkingsverband (swv) is een verwerkingsverantwoordelijke in de zin van de AVG en heeft een wettelijke taak en mag, voor zover het voor het uitvoeren van die taak nodig is, gezondheidsgegevens van leerlingen verwerken. Het swv mag deze gegevens dus ontvangen, opslaan, inzien enz. Daarvoor heeft het swv geen toestemming nodig van de ouders of van de betreffende leerling.
Deze bijzondere persoonsgegevens ontvangt het swv van de school als het verstrekken van die gegevens noodzakelijk is voor het swv om te beslissen bijvoorbeeld over de inzet van middelen voor extra onderwijsondersteuning of het doen van een uitspraak over de toelaatbaarheid van een leerling tot een school voor speciaal (basis)onderwijs.
https://passendonderwijsenprivacy.nl/#!/content/64
Het samenwerkingsverband (swv) is een verwerkingsverantwoordelijke in de zin van de AVG en heeft een wettelijke taak en mag, voor zover het voor het uitvoeren van die taak nodig is, gezondheidsgegevens van leerlingen verwerken. Het swv mag deze gegevens dus ontvangen, opslaan, inzien enz. Daarvoor heeft het swv geen toestemming nodig van de ouders of van de betreffende leerling.
Deze bijzondere persoonsgegevens ontvangt het swv van de school als het verstrekken van die gegevens noodzakelijk is voor het swv om te beslissen bijvoorbeeld over de inzet van middelen voor extra onderwijsondersteuning of het doen van een uitspraak over de toelaatbaarheid van een leerling tot een school voor speciaal (basis)onderwijs.
https://passendonderwijsenprivacy.nl/#!/content/64
Laten we eens kijken bij de Autoriteit Persoonsgegevens, wat die er over te melden hebben.
Inhoud van het leerlingdossier
Het leerlingdossier kan de volgende gegevens over een leerling bevatten:
gegevens over in- en uitschrijving;
gegevens over afwezigheid;
adresgegevens;
gegevens die nodig zijn om te berekenen hoeveel (overheids)geld de school krijgt;
het onderwijskundig rapport;
gegevens over de gezondheid van de leerling die nodig zijn voor speciale begeleiding of speciale voorzieningen;
gegevens over de vorderingen en de resultaten van de leerling;
verslagen van gesprekken met de ouders;
de resultaten van eventueel psychologisch onderzoek.
https://www.autoriteitpersoonsgegevens.nl/themas/onderwijs/gebruik-van-persoonsgegevens-in-het-onderwijs/leerlingdossier#inhoud-van-het-leerlingdossier
Precies het puntje wat ik aanhaal.Het leerlingdossier kan de volgende gegevens over een leerling bevatten:
gegevens over in- en uitschrijving;
gegevens over afwezigheid;
adresgegevens;
gegevens die nodig zijn om te berekenen hoeveel (overheids)geld de school krijgt;
het onderwijskundig rapport;
gegevens over de gezondheid van de leerling die nodig zijn voor speciale begeleiding of speciale voorzieningen;
gegevens over de vorderingen en de resultaten van de leerling;
verslagen van gesprekken met de ouders;
de resultaten van eventueel psychologisch onderzoek.
https://www.autoriteitpersoonsgegevens.nl/themas/onderwijs/gebruik-van-persoonsgegevens-in-het-onderwijs/leerlingdossier#inhoud-van-het-leerlingdossier
Leerlinggegevens
De basisschool houdt van elke leerling een leerlingdossier bij. Daarin bewaart de school:
gegevens over inschrijving en uitschrijving;
gegevens over afwezigheid;
adresgegevens.
Ook de volgende gegevens mag de school bewaren:
gegevens over de vorderingen en de resultaten van uw kind;
gegevens over de gezondheid die nodig zijn voor eventuele speciale begeleiding of voorzieningen;
gegevens over de ondersteuningsbehoefte, als uw kind die heeft.
https://www.rijksoverheid.nl/onderwerpen/basisonderwijs/vraag-en-antwoord/welke-gegevens-bewaart-de-basisschool-over-mijn-kind
Ook bij eventuele medische problemen en als hulpverlening noodzakelijk is, moet dit soort soms cruciale informatie door gegeven worden.
Wederom fout. Onderwijsinstellingen spelen geen rol bij medische problemen en verlenen zeker geen medische hulp. Je bent in de war met zorginstellingen.Maar ik heb een vermoeden dat jij weinig ervaring hebt met kinderen met medische of speciale zorg?
Ik heb de nodige ervaring met oa ASS gevallen, en daarbij is het van cruciaal belang dat ze school weet van deze medische aandoening en de eigenschappen die hierbij horen. Ook hoe ze kunnen ondersteunen, als de leerling in paniek raakt.
Eventueel eigenschappen van medicatie of een medische behandeling kan ook van belang zijn. Een school hoeft natuurlijk niet alle medische informatie te weten. Het medische behandelplan in het ziekenhuis gaat de school niets aan. Maar bepaalde informatie moet een school wel hebben, om de juiste zorg te kunnen verlenen.
Ik weet ook van driehoek gesprekken, tussen hulpverleners, ouders en de school, zodat de school de juiste hulp kan bieden, waar noodzakelijk.
En dan noem ik maar nog niet speciaal onderwijs.
Misschien heb jij hetzelf dus gewoon fout?
Wel veilig natuurlijk en niet bijvoorbeeld in een teams site.
Veilig is in deze het niet verwerken, waaronder opslag, van medische gegevens conform de AVG.Het is niet zo moeilijk als je de AVG leest en enkele seconden nadenkt.[/quote]Aparte is dat ik met nadenken, ervaring en met bronvermeldingen een hele andere conclusie trek in een paar seconden.
Dus misschien is het toch voor sommige iets moeilijker dan ze dachten?
Ook bijzonder dat als het niet onder de AVG mag, zoals jij aangeeft, er gewoon protocollen zijn die medisch handelen bespreken.
https://www.delindenboom.nl/wp-content/uploads/2021/10/210610-protocol-medisch-handelen.pdf
Toch misschien een stukje onervarenheid/onwetendheid op dit onderwerp?
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
